[发明专利]一种网络攻击检测方法、装置及电子设备

权利要求书

1.一种网络攻击检测方法，其特征在于，包括：

获取目标网络流量的流量特征；所述目标网络流量是电网工控系统通信时产生的网络流量；所述流量特征包括连接时长、流量类型和字节数；

调用预先训练的降维处理模型对所述流量特征进行处理，得到流量统计特征；所述降维处理模型为基于多层受限玻尔兹曼机依次堆叠而成的深度置信网络，其中，所述深度置信网络中，上一层受限玻尔兹曼机的隐层将作为下一层受限玻尔兹曼机的显层，并且，下一层受限玻尔兹曼机的显层中各个神经元被激活的概率是根据从上一层受限玻尔兹曼机的隐层的概率分布中通过吉布斯采样所抽取出的样本进行计算得到的；同一层受限玻尔兹曼机将根据将在显层各个神经元被激活的概率分布中采取吉布斯采样抽取样本，并计算该层受限玻尔兹曼机的隐层的每个神经元被激活的概率；

调用预先训练的流量分析模型对所述流量统计特征进行处理，得到所述目标网络流量的流量分析结果；所述流量分析模型基于训练样本训练得到；所述训练样本包括流量统计特征样本以及样本类型；所述样本类型包括正常流量样本和异常流量样本；所述流量分析模型为随机森林模型；

确定与所述流量分析结果对应的网络攻击结果；

其中，所述降维处理模型的生成过程包括：

获取预先筛选出的流量特征样本以及预先设定的输出维度的数量；

基于所述流量特征样本以及所述输出维度的数量采用无监督方法对预设网络模型训练，得到所述降维处理模型；

其中，所述流量特征样本是从KDD99数据集中剔除不符合电网特点的数据之后得到的多条符合电网特点的特征，所述电网特点包括数据长度小、周期性、数据流向固定、时序性强。

2.根据权利要求1所述的网络攻击检测方法，其特征在于，所述流量分析模型的生成过程包括：

获取训练样本；所述训练样本包括流量统计特征样本以及样本类型；所述样本类型包括正常流量样本和异常流量样本；

基于所述训练样本对基础随机森林模型进行训练，得到所述流量分析模型。

3.一种网络攻击检测装置，其特征在于，包括：

特征获取模块，用于获取目标网络流量的流量特征；所述目标网络流量是电网工控系统通信是产生的网络流量；所述流量特征包括连接时长、流量类型和字节数；

降维模块，用于调用预先训练的降维处理模型对所述流量特征进行处理，得到流量统计特征；所述降维处理模型为基于多层受限玻尔兹曼机依次堆叠而成的深度置信网络，其中，所述深度置信网络中，上一层受限玻尔兹曼机的隐层将作为下一层受限玻尔兹曼机的显层，并且，下一层受限玻尔兹曼机的显层中各个神经元被激活的概率是根据从上一层受限玻尔兹曼机的隐层的概率分布中通过吉布斯采样所抽取出的样本进行计算得到的；同一层受限玻尔兹曼机将根据将在显层各个神经元被激活的概率分布中采取吉布斯采样抽取样本，并计算该层受限玻尔兹曼机的隐层的每个神经元被激活的概率；

结果确定模块，用于调用预先训练的流量分析模型对所述流量统计特征进行处理，得到所述目标网络流量的流量分析结果；所述流量分析模型基于训练样本训练得到；所述训练样本包括流量统计特征样本以及样本类型；所述样本类型包括正常流量样本和异常流量样本；所述流量分析模型为随机森林模型；

攻击确定模块，用于确定与所述流量分析结果对应的网络攻击结果；

模型生成模块，所述模型生成模块包括：数据获取子模块和训练子模块

所述数据获取子模块，用于获取预先筛选出的流量特征样本以及预先设定的输出维度的数量；

所述训练子模块，用于基于所述流量特征样本以及所述输出维度的数量采用无监督方法对预设网络模型训练，得到所述降维处理模型；所述预设网络模型为包括多个受限玻尔兹曼机的深度置信网络；

其中，所述流量特征样本是从KDD99数据集中剔除不符合电网特点的数据之后得到的多条符合电网特点的特征，所述电网特点包括数据长度小、周期性、数据流向固定、时序性强。

4.一种电子设备，其特征在于，包括：存储器和处理器；

其中，所述存储器用于存储程序；

处理器调用程序并用于：

获取目标网络流量的流量特征；所述目标网络流量是电网工控系统通信是产生的网络流量；所述流量特征包括连接时长、流量类型和字节数；

调用预先训练的降维处理模型对所述流量特征进行处理，得到流量统计特征；所述降维处理模型为基于多层受限玻尔兹曼机依次堆叠而成的深度置信网络，其中，所述深度置信网络中，上一层受限玻尔兹曼机的隐层将作为下一层受限玻尔兹曼机的显层，并且，下一层受限玻尔兹曼机的显层中各个神经元被激活的概率是根据从上一层受限玻尔兹曼机的隐层的概率分布中通过吉布斯采样所抽取出的样本进行计算得到的；同一层受限玻尔兹曼机将根据将在显层各个神经元被激活的概率分布中采取吉布斯采样抽取样本，并计算该层受限玻尔兹曼机的隐层的每个神经元被激活的概率；

调用预先训练的流量分析模型对所述流量统计特征进行处理，得到所述目标网络流量的流量分析结果；所述流量分析模型基于训练样本训练得到；所述训练样本包括流量统计特征样本以及样本类型；所述样本类型包括正常流量样本和异常流量样本；所述流量分析模型为随机森林模型；

确定与所述流量分析结果对应的网络攻击结果其中，所述降维处理模型的生成过程包括：

获取预先筛选出的流量特征样本以及预先设定的输出维度的数量；

基于所述流量特征样本以及所述输出维度的数量采用无监督方法对预设网络模型训练，得到所述降维处理模型；

其中，所述流量特征样本是从KDD99数据集中剔除不符合电网特点的数据之后得到的多条符合电网特点的特征，所述电网特点包括数据长度小、周期性、数据流向固定、时序性强。